osc2007 kansai ldap入門 & 活用事例紹介操作 ldapで操作、操作は単純 sql...
Post on 27-Jan-2021
3 Views
Preview:
TRANSCRIPT
-
Copyright © 2007 TAKEDA Yasuma - 1 -
LDAP Japan User GroupLDAP Japan User Group
オープンソース・ソリューション・テクノロジ株式会社http://www.osstech.co.jp/
技術取締役 武田 保真
2007年7月20日
LDAPLDAP入門 入門 & & 活用事例紹介活用事例紹介
日本日本LDAPLDAPユーザ会ユーザ会
http://www.osstech.co.jp/
-
- 2 -Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
講師紹介(TAKEDA Yasuma)
昨年 9月に オープンソース・ソリューション・テクノロジ(株)設立– Samba、LDAPを中心にOSSのソリューション提供
著書● 「徹底解説 Samba LDAPサーバ構築」 技術評論社● 「Linux RAID入門」 技術評論社
● 日経ITpro連載 Sambaウォッチhttp://itpro.nikkeibp.co.jp/article/COLUMN/20070202/260584/
http://itpro.nikkeibp.co.jp/article/COLUMN/20070202/260584/
-
- 3 -Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
Part1
ディレクトリ・サービスとディレクトリ・サービスとLDAPLDAP
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
ディレクトリ・サービスとは? 「Wikipediaより」 ネットワーク上のユーザ情報、グループ情報、コンピュ
ータ情報、アプリケーション、各種設定情報などを、記憶し、検索しやすいようにまとめたもの
情報の管理は、集中管理に限らず、分散環境での情報管理も可能
ユーザ情報 グループ情報 コンピュータ情報
武田
竹内
営業
開発
DBサーバ
Webサーバ
ディレクトリ・サービス
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
様々なディレクトリ・サービス
ディレクトリ・サービスにアクセスするためのプロトコルを「DAP(Directory Access Protocol)」と呼ぶ
LDAP以外のディレクトリ・サービスの例– NIS、NIS+、DNSなど
ディレクトリ・サービスを提供する1990年代の商用アプリケーション– Novell Netware– Lotus Notes– MS Exchange
これらのプロトコルは独自プロトコルで実装
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
LDAPとは? LDAP(エルダップ:Lightweight Directory Access Protocol)
– ディレクトリ・サービスに接続するためのプロトコル(DAP)の1つ ITU勧告 X.500モデルをサポートするディレクトリ・サー
ビスにアクセスするためのプロトコルとして設計 X.500モデルの実装は非常に困難だったため普及せず
目標 : X.500の90%の機能を10%のコストで実現
LDAP
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
LDAPの標準化 コンピュータ・ネットワークの拡大に伴い、各種情報の
統合管理の必要性が増加
LDAPv2(RFC1777)をIETFが標準化
ミシガン大学によって最初のLDAP処理系の実装
分散化やセキュリティなどの仕様を拡大したLDAPv3(RFC2251)が標準化
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
商用LDAP製品 Sun Java System Directory Server(サン・マイクロシステムズ) Active Directory(マイクロソフト) Tivoli Directory Server(IBM) Enterprise Directory Server(NEC) Oracle Internet Directory(オラクル) Info Directory(富士通) Novell eDirectory(Novell) RedHat Directory Server(レッドハット)
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
オープンソースのディレクトリサーバ
OpenLDAP– ほとんどのOSで利用可能なLDAPスイート
RedHat, Debian, FreeBSD, Solaris、Windowsなど– http://www.openldap.org
Fedora Directory Server– かつてのNetscape Directory Serverをレッドハットがオープンソース化– http://directory.fedoraproject.org
OpenDS– サンが開発中のJavaベースのディレクトリ・サーバー– http://opends.dev.java.net
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
Part2
LDAPの基本概念
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
LDAPの基本アクセス アクセスの種類
– エントリの追加 : ldapadd– エントリの削除 : ldapdelete– エントリの変更 : ldapmodify– エントリの検索 : ldapsearch
LDIF(LDAP Data Interchange Format)形式– データ交換の基本フォーマット– テキストデータ : UTF-8– バイナリデータ : base64エンコーディング– 「属性 : データ」で1行
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
LDIFの例 1エントリの最初は、「dn : 識別名(Distinguished Name) 空白行でエントリの区切り
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
LDAPとRDBMSの違い LDAP(プロトコル)とSQL(言語) ディレクトリサービスにはACID特性が無い
– 書き込んだデータがすぐ読めるという保証は無い
LDAP RDBMS用途 検索性能重視、更新には不向き 検索だけでなく更新も重視構造 木構造 表構造(行と列)
スキーマ 登録済み既存スキーマを利用 データに合わせて設計更新 トランザクションの概念無し トランザクションの概念あり分散 ツリーの枝単位で分散配置可能 キーの範囲で分散配置可能操作 LDAPで操作、操作は単純 SQLで操作、複雑な操作も可能検索 木の枝葉をたどる感じ 表の行を操作する感じ
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
LDAPで何が可能か? ユーザ情報の統合管理
– Mailアドレス– パスワードの一元管理(FTP, SSH, Proxyなど)
UnixとWindowsの認証統合(Samba + LDAP) Webサーバのアクセス制御 電話帳、メールアドレス帳(メールソフトなどから利用) PKI(公開キー)の保管
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
OpenLDAP標準スキーマ スキーマの定義を見ることで、どのような情報を格納可
能か判別することができる core.schema
– OpenLDAPのベースとなるスキーマ RFC 2252/RFC 2256 (LDAPv3) RFC 1274 (uid/dc) RFC 2079 (URI) RFC 2247 (dc/dcObject) RFC 2587 (PKI) RFC 2589 (Dynamic Directory Services RFC 2377 (uidObject)
– これらだけでは何もできないが、他のスキーマの基礎となる
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
各種スキーマ(1) cosine.schema
– X.500やX.400で規定された各種アトリビュートの定義 RFC1274 : host, manager, DocumentIdentifierDNSレコードを表すAレコード、MXレコード、NXレ
コード、SOAレコード、CNAMEレコードなど– これらを利用することでDNS情報の格納が可能]
inetorgperson.schema– インターネット、特にメールアドレス帳に使われる属性の定義
メールアドレス、社員番号、オフィス、自宅住所、会社の電話番号、自宅の電話番号、写真など
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
各種スキーマ(2) misc.schema
– mailLocalAddressやnisMailAliasなどメールサーバ用の属性定義
nis.schema– posixAccountやposixGroupなど、UNIXのユーザ認証統合に利用される情報の定義
– NISをLDAPに置き換えるためのスキーマも含む samba.schema
– Sambaによって提供されるスキーマ。Windows/Unixの認証統合に利用。
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
各種スキーマ(3) java.schema
– javaClassName, javaCodeBaseなどJava Object (RFC 2713)を扱うためのスキーマ
corba.schema– corbalor, corbaRepositoryIdなどCorba Object(RFC
2714)を扱うためのスキーマ
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
アドレス帳の構築例dn: uid=ユーザ名, ou=Users, dc=ドメイン名,dc=co,dc=jpobjectClass: posixAccountobjectClass: inetOrgPersoncn: ユーザ名sn: 名字givenname: 名前mail: メールアドレスo: 会社名ou: 所属title: 役職employeeNumber: 社員番号telephoneNumber: 電話番号mobile: 携帯電話st: 都道府県l: 市区street: 番地
dn: uid=yasuma, ou=Users,dc=osstech,dc=co,dc=jpobjectClass: posixAccountobjectClass: inetOrgPersoncn: yasumasn: 武田givenname: 保真mail: yasuma@osstech.co.jpo: オープンソース・ソリューション・テクノロジ株式会社ou: 技術部title: 技術取締役employeeNmber: 2telephoneNumber: 03-xxxx-xxxxmobile: 090-xxxx-xxxxst: 東京都l: 品川区西五反田stree: 2-6-3
mailto:yasuma@osstech.co.jp
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
LDAPを利用する利点 機能拡張性が高い
– ユーザ情報の管理だけでなく、組織情報、コンピュータ、アプリケーションの管理、あるいはメール・アドレス帳、電話帳など様々な用途に拡張して利用可能
標準化による相互接続性の高さ– Unix、Linux、Windowsとプラットフォームを選ばない
性能に関しても拡張性が高い– 商用LDAP製品は数十億のデータ・エントリでも実運用に使える処理性能。
オープンソース製品でも数千、数万エントリの実績多数
アクセス制御によるセキュリティ確保– 通信の暗号化、ACIによるアクセス権の設定可能
ディレクトリは木構造で、分散管理が可能 複製機能による可用性の確保
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
LDAP各機能の概念図
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
Part3
LDAP活用事例紹介
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
認証基盤構築事例
IPA(独立行政法人 情報処理推進機構)の公募事業– 「自治体基盤システムでのOSS活用に向けての導入
実証実験」– http://www.ipa.go.jp/software/open/ossc/2006/stc/jichitai2006.html– http://www.ipa.go.jp/software/open/ossc/2006/stc/report/oita.html
大分県庁の実証実験システム– システムの構築をOSSで推進できるか調査– 実証実験の対象
職員認証基盤電子決済基盤ファイル管理基盤
http://www.ipa.go.jp/software/open/ossc/2006/stc/jichitai2006.htmlhttp://www.ipa.go.jp/software/open/ossc/2006/stc/report/oita.html
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
大分県庁システム概略
企業 個人
金融機関
認証機関
公共施設予約電子申請電子入札
フロントオフィス
県庁ホームページ
電子申請受付システム
公共事業情報システム
地方税電子申請納税システム
バックオフィス
認証 決済 文書管理財務会計
組織認証基盤
公的認証基盤
民間認証
サービス
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
実証実験のシステム構成
各課
クライアント端末ファイル管理基盤職員認証基盤
電子決済基盤 電子決済システム
仮想ファイル
検索インデックス
決済情報決済情報
職員情報
利用者認証
利用者認証
Webサービス通信
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
システム詳細必要機能 実装方法
職員
認証
基盤
電子決済基盤
•Linuxによるディスクレス・シンクライアント•OSSのWebブラウザで業務の実現•OA業務はOpenOfficeを利用
•KnoppixベースのCDブートLinuxの利用
•上記 Linuxクライアントの認証基盤統合 •OpenLDAPによるLDAPでの認証統合 •KnoppixのLDAP認証対応
•既存Windowsクライアントの利用も可能 •Samba LDAPによるWindowsドメイン構築 •Windowsクライアントはドメイン参加
•Webベースの業務では、一度認証したら 再度認証は不要(Single Sign On)
•認証基盤はOpenLDAPと連携•SSOはApacheのmod_sso改造版で実現
•県庁職員 5000人に対応のパフォーマンス•今後のスケールアウトに対応した拡張性
•Ultra Monkeyによる負荷分散クラスタ構築•OpenLDAP/Samba/Apacheをクラスタ構造
•Webブラウザにより複数システムから 共通の決済基盤を利用可能
•決済基盤APIをWebサービスで公開し、相互利用
•決済文書としてファイル交換を可能 •Webサービスでファイル送受信可能に実装
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
最終構成(概略図)業務端末(FireFox)
Linux端末(ファイルアクセス)
konqueror
Windows端末(ファイルアクセス)
エクスプローラ
Linux端末(ユーザ認証)
Windows端末(ユーザ認証)
認証基盤
Samba(PDC)
+LDAP
(master)
Samba(BDC)
+LDAP(slave)
ドメインログオン
LDAP負荷分散
UltraMonkey
認証基盤DB
MySQL
ファイル基盤
Samba(DFSルート)
ファイル基盤 (運用系)
Samba(DFSサブ)
HyperEstraier
ファイル基盤 (予備系)
Samba(DFSサブ)
HyperEstraier
SSOApache
WebポータルApache
Web負荷分散Ultra
Monkey
Web決済アプリ
Web決済アプリ
決済基盤DB
MySQL
LDAP認証
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
大規模システム構成時の注意点
ソフトウェアのチューニング– OpenLDAPのバックエンドデーターベース(Berkley
DB)のバージョン、バグ修正– カーネルパラメータの修正
システムで同時オープン可能な最大ファイル数の拡大(filemax)
– 同時接続数の拡大ldapユーザの接続数の制限値の拡大(ulimit)
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
付録
大分県庁実証実験システム詳細記事– ThinkIT :
http://www.thinkit.co.jp/free/article/0706/15/3/ RHEL4/RHEL5 OpenLDAP性能比較データ
– 日経Systems 8月号(7/26発売) 記事掲載予定
http://www.thinkit.co.jp/free/article/0706/15/3/
-
Copyright © 2007 TAKEDA Yasuma
日本LDAPユーザ会
日本LDAPユーザ会紹介 http://ldap.jp
– 各種セミナー資料LDAPユーザ会設立記念セミナーOSC2007 Hokkaido LDAPセミナー
– 技術情報OpenLDAP manデータ日本語化LDAPベンチマークツール slamdの利用方法
– メーリングリスト [ldap-users] スタッフ募集中
– staff@ldap.jp
top related